Coletar registros do Nucleus Security - Nucleus Unified Vulnerability Management

Compatível com:

Google SecOps SIEM

Observação: esse recurso é coberto pelos Termos de produtos e recursos em pré-GA dos Termos específicos de serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos de serviço do Google SecOps.
Se esse recurso não estiver visível no seu ambiente, consulte Gerenciar recursos em fase de pré-lançamento ou entre em contato com o administrador do sistema.

Neste documento, explicamos como ingerir registros do Nucleus Security - Nucleus Unified Vulnerability Management no Google Security Operations usando o Amazon S3.

A Nucleus Security oferece uma plataforma unificada de gestão de vulnerabilidades que agrega e enriquece dados de vulnerabilidades de mais de 150 ferramentas de segurança, inventários de recursos e fontes de inteligência contra ameaças. A plataforma permite que as organizações priorizem e corrijam exposições críticas em grande escala por meio de fluxos de trabalho automatizados, priorização com base em riscos e relatórios abrangentes.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps
• Acesso privilegiado ao console do Nucleus Security com permissões de configuração do conector
• Acesso privilegiado à AWS (S3, IAM)

Configurar o Nucleus Security

Para configurar o Nucleus Security para exportar dados de vulnerabilidades e recursos para o S3, primeiro configure o conector da AWS no seu projeto do Nucleus.

1. Faça login no console do Nucleus Security.
2. Acesse Integration Hub > Configuração do conector.
3. Selecione Amazon Web Services.
4. No campo Nome, insira um nome para o conector (por exemplo, Chronicle S3 Export).
5. No campo Descrição, insira uma descrição para esse conector (por exemplo, Export to Chronicle via S3).
6. Na seção Autenticação, anote os valores de ID externo da AWS e Conta da AWS exibidos. Você vai usar esses valores ao criar o papel entre contas na AWS.
7. Deixe esta página aberta. Você vai voltar para concluir a configuração depois de configurar os recursos da AWS.

Configurar o bucket do AWS S3 e o IAM para o Google SecOps

1. Crie um bucket do Amazon S3 seguindo este guia do usuário: Como criar um bucket.
2. Salve o Nome e a Região do bucket para referência futura (por exemplo, nucleus-chronicle-export).
3. Crie um usuário seguindo este guia do usuário: Como criar um usuário do IAM.
4. Selecione o Usuário criado.
5. Selecione a guia Credenciais de segurança.
6. Clique em Criar chave de acesso na seção Chaves de acesso.
7. Selecione Serviço de terceiros como Caso de uso.
8. Clique em Próxima.
9. Opcional: adicione uma tag de descrição.
10. Clique em Criar chave de acesso.
11. Clique em Fazer o download do arquivo .csv para salvar a chave de acesso e a chave de acesso secreta para referência futura.
12. Clique em Concluído.
13. Selecione a guia Permissões.
14. Clique em Adicionar permissões na seção Políticas de permissões.
15. Selecione Adicionar permissões.
16. Selecione Anexar políticas diretamente.
17. Pesquise a política AmazonS3FullAccess.
18. Selecione a política.
19. Clique em Próxima.
20. Clique em Adicionar permissões

Criar papel entre contas para o Nucleus

1. No console da AWS, acesse IAM > Papéis > Criar papel.
2. Selecione Conta da AWS como o tipo de entidade confiável.
3. Selecione Outra conta do AWS.
4. No campo ID da conta, insira o valor da conta da AWS que você anotou na página de configuração do conector do Nucleus.
5. Selecione Exigir ID externo.
6. No campo ID externo, insira o valor do ID externo da AWS que você anotou na página de configuração do conector do Nucleus.
7. Clique em Próxima.
8. Pesquise e selecione a política AmazonS3FullAccess.
9. Clique em Próxima.
10. No campo Nome do papel, insira NucleusAWSConnectorRole.
11. Clique em Criar papel.
12. Selecione o papel NucleusAWSConnectorRole recém-criado.
13. Copie o valor do ARN (por exemplo, arn:aws:iam::123456789012:role/NucleusAWSConnectorRole). Você vai usá-lo na próxima seção.

Configurar a conexão do Amazon S3 da Nucleus Security

1. Volte ao console do Nucleus Security, onde você deixou a página de configuração do conector da AWS aberta.
2. Na seção Autenticação, clique no botão de adição verde para adicionar um novo papel da AWS.
3. No campo Rótulo, insira um rótulo para o papel (por exemplo, Chronicle Export Role).
4. No campo ARN do papel, insira o Amazon Resource Name (ARN) do papel que você criou na seção anterior.
5. Clique em Verificar credenciais.
6. Aguarde a mensagem confirmando que a conexão foi estabelecida.
7. Na seção Upload de dados do S3, marque a caixa de seleção para ativar o upload de dados de recursos e descobertas para buckets do S3.
8. No campo Nome do bucket do S3, insira o nome do bucket do S3 que você criou (por exemplo, nucleus-chronicle-export).
9. No menu suspenso Região do bucket do S3, selecione a região correspondente ao bucket do S3.
10. No campo ID da chave de acesso da AWS, insira a chave de acesso que você salvou na etapa 11 da configuração da AWS.
11. No campo Chave de acesso secreta da AWS, insira a chave secreta que você salvou na etapa 11 da configuração da AWS.

12. Clique em Save & Finish.

    Observação: o Nucleus vai fazer upload automático dos dados de recursos e descobertas para o bucket do S3 especificado de forma programada. Os arquivos são enviados no formato JSON e organizados por tipo de dados.

Configurar um feed no Google SecOps para ingerir registros do Nucleus Security

1. Acesse Configurações > Gerenciamento de dados > Feeds. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Feeds.
2. Clique em Adicionar novo feed.
3. Na página seguinte, clique em Configurar um único feed.
4. Insira um Nome do feed exclusivo.
5. Selecione Amazon S3 V2 como o Tipo de origem.
6. Selecione Nucleus Security - Nucleus Unified Gestão de vulnerabilidades como o Tipo de registro.
7. Clique em Próximo e em Enviar.

8. Especifique valores para os seguintes campos:

   • URI do S3: s3://nucleus-chronicle-export/
   • Opção de exclusão da fonte: selecione a opção de exclusão de acordo com sua preferência.
   • Idade máxima do arquivo: inclua arquivos modificados nos últimos dias (o padrão é 180 dias).
   • ID da chave de acesso: chave de acesso do usuário com acesso ao bucket do S3.
   • Chave de acesso secreta: chave secreta do usuário com acesso ao bucket do S3.
   • Namespace do recurso: o namespace do recurso
   • Rótulos de ingestão: o rótulo que será aplicado aos eventos desse feed.
   Observação: se você selecionar a opção Delete transferred files ou Delete transferred files and empty directories, verifique se concedeu as permissões adequadas à conta de serviço.

9. Clique em Próximo e em Enviar.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento de UDM	Lógica
host_score	entity.asset.attribute.labels	Rótulos ou atributos personalizados associados ao recurso
risk_score	entity.asset.attribute.labels
scan_type	entity.asset.attribute.labels
status	entity.asset.deployment_status	Status de implantação do recurso
asset_name	entity.asset.hostname	Nome do host do recurso
ip_address	entity.asset.ip	Endereço IP associado ao recurso
asset_id	entity.asset.product_object_id	Identificador específico do produto para o objeto
finding_name	entity.asset.vulnerabilities.description	Descrição da vulnerabilidade
finding_name	entity.asset.vulnerabilities.name	Nome da vulnerabilidade
finding_severity	entity.asset.vulnerabilities.severity	Nível de gravidade da vulnerabilidade
nucleus_url	entity.url	URL da entidade
metadata.entity_type	metadata.entity_type	Tipo de entidade
metadata.product_name	metadata.product_name	Nome do produto que gerou o evento
metadata.vendor_name	metadata.vendor_name	Nome do fornecedor que produziu o produto

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.